資安一周第95期：航空業再傳客戶資料外洩事件。汽車大廠程式碼可從Google搜尋取得。

0521-0527 一定要看的資安新聞

＃資料外洩

英國廉價航空被駭，近900萬名客戶資料外洩

航空公司成為駭客竊取個資的新興目標。例如，英國廉價航空易捷（easyJet）於5月19日，公告他們遭到駭客攻擊，導致近900萬名客戶個資外洩，並有2,208名客戶的信用卡資訊被存取。不過，對於事件發生的時間點，該公司並未透露進一步資訊。

易捷表示，目前沒有證據顯示有任何客戶個資被誤用，但他們提醒客戶，小心冒充易捷航空和關係企業的詐騙電子郵件。詳全文

＃資料外洩  ＃開發安全

德國汽車大廠GitLab配置不良，車輛連網元件原始碼外洩

在企業內部建置的資訊系統，也要注意權限的配置，一不小心有可能導致駭客透過Google搜尋就可輕易存取。例如，瑞士軟體工程師Till Kottmann向ZDNet爆料，他在德國汽車集團Daimler AG的GitLab伺服器上，發現配置問題，得以下載Git儲存庫的內容，內含許多機密資訊，包括機載邏輯元件（Onboard Logic Unit，OLU）原始碼，這是Mercedes-Benz應用在廂型車上，用來簡化管理即時車輛資訊的工具。

這個GitLab伺服器之所以被找到，該名工程師主要是藉由Google搜尋的特殊查詢語句功能，這種手法被稱作Google Dorks（或是Google Hacking），可用來搜尋配置、網站，或是系統的安全漏洞。詳全文

＃DDoS攻擊  ＃DNS漏洞

研究人員發現DNS查詢遞迴漏洞，流量可被放大1,620倍

透過網域名稱系統（DNS）漏洞發動攻擊的手法，可能會導致網路癱瘓。最近有多個以色列大學的資安研究人員聯手，揭露名為NXNSAttack的攻擊手法，這是一種存在於DNS的名稱伺服器（NS）型態漏洞，可讓駭客用來發動分散式阻斷服務（DDoS）攻擊，如果與其他的DNS攻擊手法搭配運用，這項漏洞能放大攻擊效果超過1千6百倍。

由於這種攻擊手法所濫用的漏洞，存在於DNS伺服器處理遞迴查詢的方式，市面上大部分的DNS服務都不能倖免，無論是付費及免費的DNS服務，幾乎都曝露於相關的風險。詳全文

圖片來源：NXNSAttack

＃漏洞攻擊  ＃通訊協定漏洞

藍牙協定的配對漏洞，讓駭客能假冒裝置身分

藍牙配對使用方便，但最近接連被發現協定上的漏洞。例如，瑞士洛桑聯邦理工學院（École Polytechnique Fédérale de Lausanne）的研究人員，出版研究報告指稱，藍牙協定中的兩個核心配置含有安全漏洞，能讓駭客假冒裝置身分，從而存取與之配對的藍牙裝置（Bluetooth Impersonation Attack，BIAS）。

這種假冒攻擊適用於所有藍牙版本的裝置，即使是執行安全模式也難以避免，任何裝置製造商的裝置都存在上述漏洞，使得市場上數十億藍牙裝置，都將波及。詳全文

＃中美貿易戰

美國擴大出口管制範圍，黑名單納入中國資安業者奇虎360

美國與中國之間的政治角力持續延燒，最近美國商務部工業暨安全局又有了新動作，打算在實體名單（Entity List）裡，增加33家中國組織與企業，其中受到矚目的是中國最大資安業者奇虎360，該公司被列入的原因，與涉及中國政府軍事採購業務有關。

對此，奇虎360也發表聲明，表示堅決反對美國不負責任的指控，以及將商業活動與技術研發政治化的作法。該公司批評，美國的制裁是為了削弱中國的網路安全防禦能力，並認為會對全球網路安全帶來負面影響。詳全文

＃網路釣魚  ＃武漢肺炎

奈及利亞詐騙集團向美國詐領失業補助

武漢肺炎（COVID-19）疫情期間，駭客不只用防疫資訊來進行網路釣魚，也打算濫用政府救助失業民眾的資源來謀利。例如，電子郵件資安業者Agari揭露，奈及利亞詐騙集團Scattered Canary，企圖向美國9個州政府，詐領數百萬美元的疫情救助金。

這個詐騙集團在4月時，鎖定國稅局救助網站下手，Agari指出，該集團提出了82筆申請，至少有30筆被核准。Scattered Canary也向華盛頓、麻薩諸塞、夏威夷、佛羅里達、北卡羅來納、奧克拉荷馬、羅德島，以及懷俄明州政府，展開詐騙行動。

為了方便統一收取相關信件通知，該組織也利用Gmail信箱的別名，來大量申請失業補助。

至於詐騙集團如何領出騙到的救助金？Agari指出，該集團使用Green Dot預付卡，他們至少發現了47個用來領錢的帳號。詳全文

＃漏洞揭露

威聯通NAS軟體出現RCE漏洞，影響數十萬臺設備

多個漏洞串連起來，能讓駭客用來發動攻擊。臺灣資安廠商奧義智慧發現，知名網路儲存設備廠商威聯通（QNAP）的軟體程式，有多項漏洞可讓駭客串接起來，發動遠端程式碼執行攻擊（RCE），影響數十萬NAS裝置。威聯通獲報後，已於去年12月已修補相關漏洞。

這些漏洞出現在線上相簿程式Photo Station，以及部分的CGI程式中，由於近一半的NAS 產品啟用前述的相簿應用程式，因此研究人員估計，當時全球有超過31萬臺NAS設備曝險。詳全文

圖片來源：威聯通

＃漏洞揭露

殭屍網路針對已停產的Symantec安全網頁閘道，利用其漏洞發動攻擊

停產的資安設備也成為駭客找尋漏洞的管道。資安業者Palo Alto Networks指出，他們發現Hoaxcalls與Mirai兩個殭屍網路，最近鎖定賽門鐵克網頁安全閘道的安全漏洞下手，這是安全研究人員在今年3月才揭露的漏洞，出現於Symantec Secure Web Gateway 5.0.2.8版。然 而，該產品早就停產，也不再提供技術支援，正因如此，該漏洞也不會有修補程式，而遭到駭客濫用。

上述網頁安全閘道早在2015年停產，2019年終止技術支援。賽門鐵克表示，最新的版本沒有存在前述漏洞，相關的產品如ProxySG或Web Security Service，也不會受到波及。詳全文

＃網路釣魚

我國立法委員遭駭客鎖定，收到假冒總統府發送的網釣郵件，刑事警察局公布調查結果

近期總統府傳出遭駭客鎖定，並濫用其名義的事件，現在有了一些調查結果。警政署刑事警察局於5月21日對外說明其中一起案例，他們證實，20日傍晚有立法委員辦公室的電子郵件信箱，收到冒稱總統府發出的電子郵件。

根據刑事局科技犯罪防制中心科技公布的調查結果，該郵件是從外部郵件主機寄發，郵件內容則是包含惡意連結，用戶若不慎透過連結存取惡意網站，且從網站下載來路不明的檔案並開啟，恐遭安裝木馬程式。詳全文

圖片來源：刑事警察局

更多資安動態

●間諜程式WolfRAT捲土重來，竊取即時通訊軟體內容
●英國政府外包商Interserve被駭，洩露10萬員工個資
●羅馬尼亞警方逮捕準備攻擊醫院的駭客組織
●FBI指控蘋果對恐怖攻擊袖手旁觀，拒絕協助解鎖嫌犯手機